Restund · Restund · CVE-2021-21382
**Nome do software vulnerável e versões afetadas**
Restund (versões afetadas não especificadas)
**Descrição**
O problema está relacionado ao servidor TURN do Restund, que pode ser configurado para abrir um canal de retransmissão para o intervalo de endereços de loopback, expondo potencialmente serviços privados em execução no localhost. Um invasor pode explorar isso definindo o `XOR-PEER-ADDRESS` como `127.0.0.1:{{restund udp status port}}` ao abrir um canal TURN, permitindo que ele emita comandos administrativos para a interface `status` do Restund. Isso poderia permitir a execução de comandos arbitrários. Para mitigar isso, recomenda-se proibir explicitamente o retransmissão para endereços de loopback, endereços “any”, endereços locais de link e o endereço de broadcast.
**Recomendações**
Como solução temporária, considere desativar o módulo `status` na sua configuração do Restund.
Desative o módulo `turn`, se possível, pois o Restund ainda executará o STUN, o que pode ser suficiente para iniciar chamadas no seu ambiente.
Certifique-se de que o servidor TURN esteja configurado com regras de firewall para impedir o retransmissão para endereços indesejados.
Idealmente, implante servidores TURN de forma isolada, permitindo que eles acessem apenas os recursos necessários para sua tarefa de travessia de NAT.